Googles Threat Intelligence Group (GTIG) hat eine Spionagekampagne offengelegt, die mit ungewöhnlicher Geduld vorging. Die als UNC6508 bezeichnete, China-nahe Gruppe drang spätestens im September 2023 in einen REDCap-Server einer nordamerikanischen medizinischen Forschungseinrichtung ein und blieb dort, je nach Fall, mehr als ein Jahr bis über zwei Jahre unentdeckt. Erst im November 2025 wurde die Aktivität bemerkt. Betroffen sind laut GTIG Forschungseinrichtungen, akademische Institutionen, Militär, Behörden und weitere Organisationen in Kanada und den USA.

REDCap (Research Electronic Data Capture) ist eine an der Vanderbilt University entwickelte, weltweit verbreitete Webplattform zum Aufbau und zur Verwaltung von Forschungsdatenbanken, vor allem für klinische Studien. Weil solche Studien oft jahrelang laufen, erlaubt REDCap den parallelen Betrieb auch älterer Softwareversionen. Genau dort setzte UNC6508 an: Die Gruppe suchte gezielt nach veralteten REDCap-Installationen mit offenen Sicherheitslücken. Wie der initiale Zugriff im Detail erfolgte, konnte GTIG nicht abschließend klären, es wurde aber beobachtet, dass die Angreifer ältere, verwundbare Versionen aktiv abtasteten.

Der Angriffsablauf: Geduld als Taktik

Nach dem ersten Zugriff auf einen REDCap-Server wartete die Gruppe in einem von GTIG beschriebenen Fall drei Monate, bevor sie überhaupt aktiv wurde. Erst dann installierten die Angreifer die eigens entwickelte Malware Infinitered. Diese trojanisiert legitime REDCap-Systemdateien und besteht aus drei Modulen:

Ein Persistenzmodul kapert den Update-Prozess von REDCap, sodass bei jeder neuen Versionsinstallation der Schadcode automatisch erneut eingeschleust wird, anstatt bei einem Upgrade entfernt zu werden. Ein Credential-Harvester wird in die Authentifizierungs-Systemdatei eingebettet und zeichnet Benutzernamen und Passwörter direkt von der REDCap-Login-Seite ab. Die abgegriffenen Zugangsdaten werden verschlüsselt in lokalen REDCap-Datenbanktabellen abgelegt. Eine Backdoor-Komponente nimmt schließlich Befehle über HTTP-Cookies entgegen, die bei jedem Seitenaufruf ausgewertet werden.

Über dieses Verfahren sammelte Infinitered über mehr als ein Jahr hinweg Zugangsdaten, bevor die Angreifer damit einen Domain-Administrator-Account übernahmen und sich von dort aus tiefer in das interne Netzwerk der jeweiligen Organisation bewegten.

Neue Exfiltrationsmethode über Google Workspace

Bemerkenswert ist eine für China-nahe Akteure bislang nicht beobachtete Technik zur Datenexfiltration. Nach der Übernahme des Domain-Admin-Kontos legten die Angreifer eine bösartige Content-Compliance-Regel in Google Workspace an, einer eigentlich für die Einhaltung von Compliance-Vorgaben gedachten Funktion. Diese Regel leitete automatisch alle E-Mails, die auf bestimmte Schlüsselwörter trafen, per BCC an ein von den Angreifern kontrolliertes Gmail-Konto weiter, vollständig unbemerkt vom eigentlichen Postfachinhaber.

Die verwendeten Suchbegriffe geben Aufschluss über die Zielsetzung der Kampagne. Laut Luke McNamara, Deputy Chief Analyst bei GTIG, fanden sich unter den Stichwörtern unter anderem Drohnentechnologie und eine durch Mosquitos übertragene Viruserkrankung. Ein erheblicher Teil der erfassten Begriffe bezog sich auf Verteidigungsplattformen und damit verbundene Unternehmen und E-Mail-Kommunikation. GTIG ordnet die Kampagne als nachrichtendienstlich motiviert ein, mit Prioritäten, die sich mit historischen, staatlich gestützten chinesischen Spionagezielen und Aufklärungsbedürfnissen decken.

Attribution und Einordnung

GTIG attribuiert die Aktivität mit hoher Konfidenz an UNC6508. Die Zuordnung stützt sich auf Infrastruktur-Überschneidungen zwischen mehreren Kampagnen, den durchgängigen Einsatz der Infinitered-Backdoor auf REDCap-Servern sowie die spezifische Fokussierung auf medizinische Forschung und den Verteidigungssektor. Google verfolgt die Gruppe bereits seit frühem 2025 und hatte UNC6508 in einem früheren Bericht im Februar 2026 erstmals erwähnt. Google hat inzwischen mehrere betroffene Organisationen in den USA und Kanada identifiziert und Unterstützung bei der Entfernung der Malware angeboten.